OpenSSL

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

• 戻る
  • 証明書
  • SSL/TLS
  • .NETの署名・暗号化アルゴリズム

目次 †

概要 †

• SSL/TLSプロトコルのOSS。
• C言語で開発されているため、クロスプラットフォーム。

インストール †

証明書操作 †

証明書生成から、色々な証明書操作が可能。

各種証明書操作 †

• 秘密鍵の生成（*.key or *.pem）

• 証明書署名要求（*.csr）の生成
  証明書署名要求（CSR: Certificate Signing Request）

• 証明書の生成（*.crt, *.cer）の生成
  
  • 証明書（CRT: CERTIFICATE）
  • *.crt: Unix or Linux
  • *.cer: Windows

• *.pfxの生成（*.pfx or *.pem）

• *.pfxから単離
  • 証明書（*.cer or *.pem）
  • 公開鍵（*.key or *.pem）

pem化 †

バイナリ形式ファイルをpem化できる。

デバッグ †

• 中身をダンプできるので、これを使ってデバッグできる。
• これにより、X509Certificate、X509Certificate2等の問題を切り分けられる。

暗号化ライブラリ †

ユーティリティに暗号化ライブラリを含む。

C言語 †

#include        <openssl/evp.h>
#include        <openssl/aes.h>

• 参考
  • OpenSSL ライブラリを使ったハッシュ生成、
    暗号化(RSA, AES)、復号処理(RSA, AES)、
    署名生成(RSA)、署名検証(RSA) - Qiita
    https://qiita.com/dwarfJP/items/f849dd904d4c85eec38d

各言語 †

• .NET Core on Linux
  下位が、CAPI(CSP)、CNGなどではなく、
  OpenSSLプロバイダとなっている。

• Java
  javax.crypto.*など。

• Ruby
  OpenSSL::Cipherクラスなど。

• PHP
  Crypt::CBCモジュールなど。

詳細 †

証明書操作（RSA） †

基本 †

in, outを拡張子付きで明示することで制御した方がイイ。

• 入出力フォーマット
  • -inform DER|PEM|NET
    入力ファイルの書式（拡張子から自動判別する）
  • -outform DER|PEM|NET
    出力ファイルの書式（拡張子から自動判別する）

• 入出力ファイル デフォルトは、標準出力
  • -in filename
    入力する証明書のファイル名を指定。
  • -out filename
    出力する証明書のファイル名を指定。

• 出力方式
  • -text
    テキスト形式で出力
  • -noout
    出力しない

*.pfxの生成 †

• 秘密鍵の単品生成
  （最後の2048は鍵長）

  >openssl genrsa -out private-key.pem 2048

• 証明書の単品生成
  以下の２フェーズから成る。

• 証明書署名要求（CSR: Certificate Signing Request）の生成
  最低限、「Common Name(CN)」さえ入力されていれば、通る。

  >openssl req -new -key private-key.pem > csr.csr
  You are about to be asked to enter information that will be incorporated
  into your certificate request.
  What you are about to enter is what is called a Distinguished Name or a DN.
  There are quite a few fields but you can leave some blank
  For some fields there will be a default value,
  If you enter '.', the field will be left blank.
  -----
  Country Name (2 letter code) [AU]:.
  State or Province Name (full name) [Some-State]:.
  Locality Name (eg, city) []:.
  Organization Name (eg, company) [Internet Widgits Pty Ltd]:.
  Organizational Unit Name (eg, section) []:.
  Common Name (e.g. server FQDN or YOUR name) []:x
  Email Address []:.
  
  Please enter the following 'extra' attributes
  to be sent with your certificate request
  A challenge password []:.
  An optional company name []:.

• 証明書の生成

  >openssl x509 -in csr.csr -days 365000 -req -signkey private-key.pem > cer.cer

• 秘密鍵と証明書から*.pfxを生成する。

  >openssl pkcs12 -export -out pfx.pfx -inkey private-key.pem -in cer.cer
  Enter Export Password:
  Verifying - Enter Export Password:

*.cer に変換 †

'*.pfxから、公開鍵 or 証明書を出力

• 秘密鍵＆公開鍵の取り出し

  >openssl pkcs12 -in ca.pfx -nocerts -nodes -out ca.key
  Enter Import Password:
  MAC verified OK

• 証明書の取り出し

  >openssl pkcs12 -in ca.pfx -clcerts -nokeys -out ca.cer
  Enter Import Password:
  MAC verified OK

*.pem に変換 †

• *.pfxをpemに変換
  • pemの秘密鍵を暗号化する場合

    >openssl pkcs12 -in XXX.pfx -out XXX.pem
    Enter Import Password:
    Enter PEM pass phrase:
    Verifying - Enter PEM pass phrase:

  • pemの秘密鍵を暗号化しない場合

    >openssl pkcs12 -in pfx.pfx -out XXX.pem -nodes
    Enter Import Password:

• *.cer を pemに変換

  >openssl x509 -in XXX.cer -pubkey -out XXX.pem

暗号化ライブラリ (.NET) †

.NET Standardでは、OpenSSLベースのプロバイダも提供され始めている
（.NET Platform Extensions？の 2.1以上で使用できる模様）。

プロバイダ †

以下のプロバイダがOpenSsl?ベースのプロバイダとして提供されいている。
https://github.com/dotnet/corefx/tree/master/src/System.Security.Cryptography.OpenSsl/src/System/Security/Cryptography

• RSAOpenSsl?
• DSAOpenSsl?
• ECDiffieHellmanOpenSsl?
• ECDsaOpenSsl?

ネイティブ実装 †

NuGetで検索すると以下のようなLinuxディストリビューション毎のネイティブ実装がある事を確認できる。
https://www.nuget.org/packages?q=runtime.native.System.Security.Cryptography.OpenSsl

その他の証明書 †

DSA証明書 †

手順 †

• DSAパラメタを生成

  >openssl dsaparam -out dsa.param 2048

• 以下のコマンドで秘密鍵を生成

  >openssl gendsa -out private-key.pem dsa.param

• 以降、コチラ以降の手順と同じ。

• 通しで

  openssl dsaparam -out dsa.param 2048
  openssl gendsa -out private-key.pem dsa.param
  openssl req -new -key private-key.pem > csr.csr
  openssl x509 -in csr.csr -days 365000 -req -signkey private-key.pem > cer.cer
  openssl pkcs12 -export -out pfx.pfx -inkey private-key.pem -in cer.cer
  :openssl pkcs12 -in pfx.pfx -out cer.cer -nokeys -clcerts

参考 †

ECDSA証明書 †

prime256v1 でCSR を作成する。
（現時点では、prime256v1, secp384r1, secp521r1が各環境で使い物になるレベルらしい）

手順 †

• インストールされているopensslで使える楕円曲線暗号の種類を確認
  prime256v1, secp384r1, secp521r1等が含まれていることを確認する。

  >openssl ecparam -list_curves

• 以下のコマンドで秘密鍵を生成

  >openssl ecparam -out private-key.pem -name prime256v1 -genkey

• 以降、コチラ以降の手順と同じ。

• 通しで

  openssl ecparam -list_curves
  openssl ecparam -out private-key.pem -name prime256v1 -genkey
  openssl req -new -key private-key.pem > csr.csr
  openssl x509 -in csr.csr -days 365000 -req -signkey private-key.pem > cer.cer
  openssl pkcs12 -export -out pfx.pfx -inkey private-key.pem -in cer.cer
  :openssl pkcs12 -in pfx.pfx -out cer.cer -nokeys -clcerts

参考 †

SSLサーバ証明書 †

証明書発行要求を作成する例 †

証明書発行要求に応答する例 †

SSLクライアント証明書 †

証明書発行要求を作成する例 †

証明書発行要求に応答する例 †

参考 †

• OpenSSL - Wikipedia
  https://ja.wikipedia.org/wiki/OpenSSL

• OpenSSLについて
  http://ash.jp/sec/openssl.htm

証明書操作 †

基本操作 †

• OpenSSLでpfx形式、PKCS#12形式をPEM形式に変換する：新米システム管理者の覚書
  http://system-admin.seesaa.net/article/94984370.html

DSA証明書生成 †

• OpenSSL(1) コマンドライン - s-kitaの日記
  http://d.hatena.ne.jp/s-kita/20090130/1233325598
• お勉強 - なんかてきとうに
  Linuxのお勉強(OpenSSLを使ってみる)
  https://calkinos.hatenablog.com/entry/2014/10/23/120613

ECDSA証明書生成 †

• ECCのCSR生成方法
  https://knowledge.digicert.com/ja/jp/solution/SO23005.html
• ECDSAなSSL証明書を作ってみる – がとらぼ
  https://gato.intaa.net/net/ecdsa_ssl_cert
• Let's Encrypt の証明書をECDSA(ECC: 楕円曲線暗号)で作成する - Qiita
  https://qiita.com/TsutomuNakamura/items/e2e7be7c1f4d1638454d

@IT †

• Tech TIPS - ＠IT
  • WindowsにOpenSSLをインストールして証明書を取り扱う（基本編）
    http://www.atmarkit.co.jp/ait/articles/1601/29/news043.html
  • Windows上で、証明書や秘密鍵をPEM形式に変換してエクスポートする
    http://www.atmarkit.co.jp/ait/articles/1602/05/news039.html

Qiita †

• opensslコマンドの使い方
  https://qiita.com/hana_shin/items/6d9de0847a06d8ee95cc

• kunichiko
  • RSA鍵、証明書のファイルフォーマットについて
    https://qiita.com/kunichiko/items/12cbccaadcbf41c72735
  • OpenSSLコマンドによる公開鍵暗号、電子署名の方法
    http://qiita.com/kunichiko/items/3c0b1a2915e9dacbd4c1

• SSLを利用するための自己証明書（オレオレ証明書）の設定メモ
  https://qiita.com/clown0082/items/551d7c081ff6b41b1717

• おれおれ認証局になっておれおれSSL証明書を発行してやる方法
  https://qiita.com/suin/items/37313aee4543c5d01285

Stack Overflow †

• security - Convert .pfx to .cer - Stack Overflow
  http://stackoverflow.com/questions/403174/convert-pfx-to-cer
• openssl - Extract public key from certificate in DER format
  http://stackoverflow.com/questions/13539535/extract-public-key-from-certificate-in-der-format
• , etc.

その他 †

• SSL サーバ証明書：DigiCert?（デジサート）
  • 証明書ファイルの種類とopensslでの変換方法
    https://rms-digicert.ne.jp/howto/basis/file_types.html
  • openssl コマンドとは
    https://rms-digicert.ne.jp/howto/basis/openssl_command.html#read_cert

• OpenSSL 入門 | WEB ARCH LABO
  http://weblabo.oscasierra.net/openssl/
  • OpenSSL で RSA の秘密鍵を作成する方法
    http://weblabo.oscasierra.net/openssl-genrsa-secret-1/
  • OpenSSL で RSA の公開鍵を作成する方法
    http://weblabo.oscasierra.net/openssl-genrsa-public-1/
  • OpenSSL で RSA 公開鍵暗号を試してみよう
    http://weblabo.oscasierra.net/openssl-public-key-crypto/
  • OpenSSL で SSL 自己証明書を発行する手順
    http://weblabo.oscasierra.net/openssl-gencert-1/

galife †

• OpenSSL を Windows にインストールする方法
  https://garafu.blogspot.com/2018/07/openssl-install-windows.html
• OpenSSL で Windows に プライベート認証局 を 構築する方法
  https://garafu.blogspot.com/2018/07/openssl-setup-ca-on-windows.html
• OpenSSL で 証明書要求を作成、署名する方法
  https://garafu.blogspot.com/2018/07/openssl-create-sever-cert.html

---

Tags: :セキュリティ, :暗号化, :証明書, :.NET Core, :.NET Standard